ASEC verfolgt Ransomware-Darknet-Leaks in 4 Ländern

Regierungs-, Verteidigungs- und Verkehrssektoren in vier Ländern ins Visier genommen

Ein neues wöchentliches Threat-Intelligence-Bulletin des ASEC-Forschungsteams von AhnLab beleuchtet, wie Ransomware- und Datenleak-Aktivitäten im Darknet weiterhin eine breite Palette von Organisationen treffen, diesmal über vier Länder hinweg. Die Zusammenfassung der zweiten Septemberwoche 2026 katalogisiert Darknet-Postings und Leak-Site-Aktivitäten im Zusammenhang mit Regierungsbehörden, verteidigungsnahen Einrichtungen sowie Transport- und Luftfahrtbetreibern in Argentinien, Kanada, Deutschland und Südkorea.

Die Tags des Berichts verweisen auf öffentliche Einrichtungen und nationale Verteidigungsorganisationen neben Transport- und Luftfahrtunternehmen – eine Kombination, die ein breiteres Muster widerspiegelt, das Sicherheitsforscher seit Jahren beobachten: Angreifer neigen zu Sektoren, die große Mengen sensibler personenbezogener Daten speichern, kritische Infrastruktur betreiben oder unter Druck stehen, Dienste ohne Unterbrechung aufrechtzuerhalten. Regierungsbehörden und Verkehrsbetreiber passen genau in dieses Profil, da jede Störung öffentlicher Dienste oder von Flug- und Versandplänen sofortigen, sichtbaren Druck erzeugt, einen Vorfall schnell zu lösen.

Unter den im Bulletin genannten Bedrohungsakteuren sind Gruppen, die unter Bezeichnungen wie AuditTeam und Lapsus verfolgt werden, beide erscheinen in ASECs laufender Überwachung von Darknet- und Deep-Web-Foren, in denen gestohlene Daten beworben, versteigert oder offen geleakt werden. Die Präsenz mehrerer benannter Gruppen in einer einzigen wöchentlichen Momentaufnahme unterstreicht, dass dies nicht das Werk eines isolierten Akteurs ist, sondern Teil eines persistenten, verteilten Ökosystems von Ransomware- und Datenerpressungsoperationen.

Einblick in die Ransomware-Darknet-Wirtschaft: Wie gestohlene Daten verkauft werden

Ransomware- und Datenleak-Berichte wie dieser existieren, weil rund um gestohlene Daten eine funktionierende Untergrundwirtschaft entstanden ist. Sobald Angreifer in ein Netzwerk eindringen und Dateien exfiltrieren – ob diese Daten einem Ministerium, einem Verteidigungsunternehmen oder der Kundendatenbank einer Fluggesellschaft gehören – haben sie typischerweise mehrere Möglichkeiten, sie zu monetarisieren.

Der direkteste Weg ist eine Lösegeldforderung: zahlen Sie, oder die gestohlenen Dateien werden veröffentlicht. Gruppen verzichten zunehmend ganz auf Verschlüsselung und verlassen sich allein auf die Drohung der Offenlegung, da die Veröffentlichung sensibler persönlicher oder operativer Daten für den Ruf und die rechtliche Stellung eines betroffenen Unternehmens ebenso schädlich sein kann wie die Sperrung seiner Systeme. Wenn Verhandlungen scheitern oder ein Opfer sich weigert zu zahlen, landen die Daten oft auf speziellen Leak-Sites im Darknet, wo sie heruntergeladen, referenziert oder an andere kriminelle Käufer verkauft werden können.

Hier kommen auch die Drucktaktiken ins Spiel. Viele Gruppen setzen jetzt kurze Fristen, um Opfer zur Zahlung zu drängen, bevor sie Zeit hatten, den Vorfall vollständig zu bewerten oder rechtlichen Rat einzuholen. Wenn Sie verstehen möchten, warum diese Countdown-Timer so aggressiv geworden sind, lohnt es sich zu lesen, warum Ransomware-Banden Opfern jetzt nur noch 7 Tage Zeit geben, um zu reagieren – eine Verschiebung, die verändert hat, wie Organisationen und ihre Kunden die Folgen eines Datenlecks erleben.

Warnsignale, dass Ihre Daten Teil eines Leaks sein könnten

Wenn Sie mit Regierungsdiensten interagieren, einen Reisepass oder Personalausweis besitzen oder mit einer Fluggesellschaft geflogen oder einen Transportdienst in einem der betroffenen Länder genutzt haben, gibt es einige Anzeichen, auf die es sich zu achten lohnt. Unerwartete Passwort-Zurücksetzungs-E-Mails oder Login-Warnungen, die Sie nicht ausgelöst haben, sind oft der erste Hinweis darauf, dass mit Ihrem Konto verbundene Zugangsdaten irgendwo aufgetaucht sind, wo sie nicht hingehören. Ein plötzlicher Anstieg von Phishing-E-Mails oder Textnachrichten, die korrekte persönliche Details wie Ihren vollständigen Namen, Reisedaten oder eine Regierungsreferenznummer enthalten, kann ebenfalls darauf hindeuten, dass Ihre Informationen Teil eines geleakten Datensatzes waren und nicht das Ergebnis eines zufälligen Phishing-Durchlaufs.

Organisationen, die einen bestätigten Datenverstoß erleiden, benachrichtigen in der Regel die betroffenen Personen, doch diese Benachrichtigung kann weit hinter dem eigentlichen Leak zurückliegen, manchmal um Wochen. In der Zwischenzeit können Darknet-Überwachungsdienste und Datenschutzverletzungs-Benachrichtigungstools melden, ob Ihre E-Mail-Adresse oder persönliche Daten in bekannten Leak-Datensätzen aufgetaucht sind.

Was das für Sie bedeutet

Die meisten Einzelpersonen können nicht kontrollieren, ob eine Regierungsbehörde, Fluggesellschaft oder Verkehrsbehörde, auf die sie sich verlassen, gehackt wird, aber es gibt praktische Schritte, die Ihre Exposition reduzieren, sobald ein Leak passiert. Beginnen Sie damit, für jedes wichtige Konto einzigartige Passwörter zu verwenden, insbesondere für Regierungsportale und reisebezogene Dienste, damit ein einzelnes geleaktes Zugangsdatum nicht auf andere Konten übergreift. Aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, da dies nach wie vor eine der einfachsten Möglichkeiten ist, den Wert gestohlener Anmeldedaten zu mindern.

Wenn Sie erfahren, dass eine Organisation, die Sie nutzen, in einen Ransomware- oder Datenleak-Vorfall verwickelt wurde, warten Sie nicht auf eine formelle Benachrichtigung, bevor Sie Ihre Konten und Kreditaktivitäten überprüfen. Angesichts der Geschwindigkeit, mit der einige Gruppen jetzt nach Ablauf erster Fristen zur Veröffentlichung von Daten drängen, ist frühzeitiges Handeln wichtiger denn je.

Wöchentliche Zusammenfassungen wie die von ASEC dienen als nützliche Erinnerung daran, dass Ransomware-Darknet-Datenleaks keine seltenen, isolierten Ereignisse sind, sondern ein fortlaufendes Merkmal der Funktionsweise von Cyberkriminalität über Sektoren und Grenzen hinweg. Wachsam gegenüber Datenschutzverletzungs-Benachrichtigungen zu bleiben, die eigenen Konten zu überwachen und die von Angreifern verwendeten Drucktaktiken zu verstehen, kann viel dazu beitragen, den Schaden zu begrenzen, wenn Ihre Daten ins Kreuzfeuer geraten.